Διαφανής κρυπτογράφηση μέσω LAN με το κορυφαίο μυστικό CyberSafe. Πύλη πληροφοριών ασφαλείας

Όλοι γνωρίζουμε πώς να κρυπτογραφούμε δεδομένα που μεταδίδονται μέσω του Διαδικτύου - πρέπει να χρησιμοποιηθούν όλα τα είδη πραγμάτων. Εάν μιλάμε για την προστασία των εταιρικών δεδομένων που μεταδίδονται μεταξύ των υποκαταστημάτων (συχνά αυτή η μετάδοση πραγματοποιείται μέσω του Διαδικτύου: δεν είναι οικονομικά κερδοφόρα η κατασκευή των δικών σας γραμμών μετάδοσης δεδομένων), τότε ένας ιδιωτικός διακομιστής VPN αναπτύσσεται στο εταιρικό δίκτυο.

Εάν πρέπει να προστατεύσετε την προσωπική σας κυκλοφορία, τότε χρησιμοποιούνται όλα τα είδη υπηρεσιών VPN με πληρωμή για επισκεψιμότητα. Οι υπηρεσίες τους είναι πολύ φθηνές. Επιπλέον, μπορείτε να χρησιμοποιήσετε το έργο - είναι γενικά δωρεάν.

Διαφανής κρυπτογράφηση με CyberSafe

• Πρόλογος
• Πώς λειτουργεί η διαφανής κρυπτογράφηση στο CyberSafe

Αλλά τι πρέπει να κάνετε εάν πρέπει να κρυπτογραφήσετε τα δεδομένα που διαβιβάζονται τοπικό δίκτυο; Φανταστείτε ότι κρυπτογραφείτε σημαντικά έγγραφα με EFS ή τα αποθηκεύετε σε εικονικό δίσκο. Εφόσον χρησιμοποιείτε αυτά τα έγγραφα προσωπικά, δεν υπάρχουν προβλήματα. Ωστόσο, θα προκύψουν προβλήματα εάν πρέπει να συνεργαστείτε σε αυτά τα έγγραφα. Το σύστημα αρχείων EFS δεν υποστηρίζει κρυπτογράφηση δεδομένων που μεταδίδονται μέσω του δικτύου.

Η κατάσταση είναι παρόμοια με έναν εικονικό δίσκο: ναι, μπορείτε να "μοιραστείτε" πρόσβαση στο εικονικός δίσκος, αλλά τα δεδομένα σας θα παραμείνουν κρυπτογραφημένα μόνο στον υπολογιστή σας. Μόλις εγκαταλείψουν τα όριά του, θα μεταδοθούν μέσω του τοπικού δικτύου στην περιοχή. Αυτό σημαίνει ότι ένας εισβολέας (ο οποίος μπορεί να είναι ο συνάδελφός σας που είναι συνδεδεμένος στο ίδιο τοπικό δίκτυο με εσάς, αλλά ο οποίος δεν έχει πρόσβαση σε κρυπτογραφημένα δεδομένα) μπορεί εύκολα να τους παρακολουθήσει.

Όλες οι λύσεις κρυπτογράφησης κυκλοφορίας στοχεύουν κυρίως στην κρυπτογράφηση δεδομένων εκτός του τοπικού δικτύου, δηλαδή η προστασία πραγματοποιείται όταν μεταδίδονται δεδομένα μέσω του Διαδικτύου. Και το τοπικό δίκτυο θεωρείται εγγενώς ασφαλές περιβάλλον.

Ναι, υπάρχουν λύσεις υλικού σε αυτό το πρόβλημα - ειδικοί προσαρμογείς δικτύου και διακόπτες με υποστήριξη κρυπτογράφησης. Αλλά απλά σκεφτείτε: ένας τέτοιος διακόπτης πρέπει να εγκατασταθεί σε κάθε υποδίκτυο και κάτι τέτοιο προσαρμογέα δικτύου- για κάθε υπολογιστή στο δίκτυο. Αποδεικνύεται αρκετά δαπανηρό.

Άρχισα να ψάχνω για μια φθηνότερη λύση. Και το βρήκα. Αυτό το πρόγραμμα . Στην πραγματικότητα, γι 'αυτό γνώρισα αυτό το πρόγραμμα. Ναι, το πρόγραμμα είναι εμπορικό. Αλήθεια, χάρη στο ακατανόητο πολιτική τιμολόγησηςο προγραμματιστής στον ιστότοπο μπορεί να το αγοράσει με μόλις 32 $ (άδεια για 2 υπολογιστές) και όχι για 100 $ (μια τέτοια τιμή στο cybersafesoft.com). Αποδεικνύεται ότι η τιμή προστασίας ενός υπολογιστή είναι 16 $. Εάν ο αριθμός των χρηστών που πρέπει να εργάζονται με μυστικά δεδομένα είναι μεγαλύτερος, θα πρέπει να αγοράσετε.

Διαφανής κρυπτογράφηση στο CyberSafe

Ας δούμε πώς εφαρμόζεται διαφανής κρυπτογράφηση στο CyberSafe. Για διαφανή κρυπτογράφηση, χρησιμοποιείται το πρόγραμμα οδήγησης Alfa Transparent File Encryptor1, το οποίο κρυπτογραφεί αρχεία χρησιμοποιώντας τον αλγόριθμο AES-256.

Ένας οδηγός κρυπτογράφησης (μάσκα αρχείων, επιτρεπόμενες / απαγορευμένες διαδικασίες κ.λπ.) και ένα κλειδί κρυπτογράφησης μεταβιβάζονται στο πρόγραμμα οδήγησης. Το ίδιο το κλειδί κρυπτογράφησης αποθηκεύεται στο φάκελο ADS (εναλλακτικές ροές δεδομένων) και κρυπτογραφείται χρησιμοποιώντας το OpenSSL ( Αλγόριθμος RSA) - χρησιμοποιούνται πιστοποιητικά για αυτό.

Η λογική έχει ως εξής: προσθέστε ένα φάκελο, το CyberSafe δημιουργεί ένα κλειδί για το πρόγραμμα οδήγησης, τον κρυπτογραφεί με τα επιλεγμένα δημόσια πιστοποιητικά (πρέπει να έχουν δημιουργηθεί προηγουμένως ή να εισαχθούν στο CyberSafe). Όταν ένας χρήστης προσπαθεί να αποκτήσει πρόσβαση σε ένα φάκελο, το CyberSafe ανοίγει φακέλους ADS και διαβάζει το κρυπτογραφημένο κλειδί. Εάν αυτός ο χρήστης έχει ένα ιδιωτικό κλειδί πιστοποιητικού (μπορεί να έχει ένα ή περισσότερα από τα δικά του πιστοποιητικά) που χρησιμοποιήθηκε για την κρυπτογράφηση του κλειδιού, μπορεί να ανοίξει αυτόν το φάκελο και να διαβάσει τα αρχεία. Θα πρέπει να σημειωθεί ότι το πρόγραμμα οδήγησης αποκρυπτογραφεί μόνο ό, τι χρειάζεται, όχι όλα τα αρχεία κατά την παραχώρηση πρόσβασης στο αρχείο.

Για παράδειγμα, εάν ο χρήστης ανοίξει ένα μεγάλο Έγγραφο Word, τότε μόνο το μέρος που φορτώνεται τώρα στον επεξεργαστή αποκρυπτογραφείται, το υπόλοιπο φορτώνεται όπως απαιτείται. Εάν το αρχείο είναι μικρό, τότε είναι πλήρως αποκρυπτογραφημένο, αλλά τα υπόλοιπα αρχεία παραμένουν κρυπτογραφημένα.

Εάν ο φάκελος είναι κοινόχρηστο στοιχείο δικτύου, τότε τα αρχεία σε αυτόν παραμένουν κρυπτογραφημένα, το πρόγραμμα οδήγησης πελάτη αποκρυπτογραφεί μόνο το αρχείο ή μέρος του αρχείου στη μνήμη, αν και αυτό ισχύει επίσης για τοπικός φάκελος... Κατά την επεξεργασία ενός αρχείου, το πρόγραμμα οδήγησης κρυπτογραφεί τις αλλαγές στη μνήμη και γράφει στο αρχείο. Με άλλα λόγια, ακόμη και όταν ο φάκελος είναι ενεργοποιημένος (θα εμφανιστεί αργότερα τι είναι), τα δεδομένα στο δίσκο είναι πάντα κρυπτογραφημένα.

Η αρχή είναι απλή: στον διακομιστή (όπως θα καλέσουμε συμβατικά στον υπολογιστή όπου αποθηκεύεται ο φάκελος με κρυπτογραφημένα έγγραφα) αποθηκεύουμε έναν κρυπτογραφημένο φάκελο, η πρόσβαση σε αυτόν τον φάκελο είναι κοινόχρηστη. Το CyberSafe είναι εγκατεστημένο στον υπολογιστή κάθε χρήστη που θα αποκτήσει πρόσβαση σε διαβαθμισμένα έγγραφα. Η ουσία είναι ότι η κρυπτογράφηση και η αποκρυπτογράφηση των δεδομένων συμβαίνει στον πελάτη, όχι στον διακομιστή. Επομένως, τα δεδομένα μεταδίδονται μέσω του δικτύου σε κρυπτογραφημένη μορφή.

Προσοχή! Το πρόγραμμα CyberSafe έχει ένα πολύ σημαντικό και ακατανόητο χαρακτηριστικό για μένα. Το CyberSafe δεν πρέπει να εγκατασταθεί στον υπολογιστή όπου θα αποθηκευτούν τα κρυπτογραφημένα έγγραφα. Εάν το εγκαταστήσετε, τότε άλλοι υπολογιστές θα έχουν προβλήματα πρόσβασης στον κρυπτογραφημένο φάκελο. Γιατί γίνεται αυτό, δεν καταλαβαίνω. Σε μεγάλες επιχειρήσεις, φυσικά, αυτή η συμπεριφορά είναι πολύ βολική και δικαιολογημένη. Συνήθως, τα κοινόχρηστα έγγραφα αποθηκεύονται σε έναν διακομιστή (συνήθως κάτω από Έλεγχος των Windows Server) και επισήμανση ξεχωριστός υπολογιστήςδεν απαιτείται - έχει ήδη επισημανθεί. Και δεν χρειάζεται να αγοράσετε μια ξεχωριστή άδεια για τον διακομιστή, η οποία, όπως λένε, είναι ένα μικρό, αλλά ωραίο.

Πώς να ρυθμίσετε διαφανή κρυπτογράφηση

Θα περιγράψω μόνο τη γενική διαδικασία εγκατάστασης:

1. Κάθε χρήστης πρέπει να δημιουργήσει και να δημοσιεύσει το δικό του κλειδί.
2. Στον διακομιστή, πρέπει να δημιουργήσετε έναν κενό φάκελο και μετά την κρυπτογράφηση, αντιγράψτε τα δεδομένα σε αυτόν. Αφήστε το να είναι ο μυστικός φάκελος \\ ACER \ test \.
3. Πρέπει να παρέχετε γενική πρόσβασηστο φάκελο με διαβαθμισμένα έγγραφα.
4. Σε έναν από τους υπολογιστές, πρέπει να εισαγάγετε τα πιστοποιητικά όλων
   χρήστες που πρέπει να έχουν πρόσβαση σε διαβαθμισμένα έγγραφα. Όλα είναι έτοιμα για κρυπτογράφηση του φακέλου.
5. Μεταβείτε στην ενότητα "Διαφανής κρυπτογράφηση", κάντε κλικ στο κουμπί Προσθήκη. φάκελο και επιλέξτε το φάκελο που θέλετε να κρυπτογραφήσετε. Επιτρέψτε μου να σας υπενθυμίσω ότι πρέπει να επιλέξετε το φάκελο \ \ ACER \ test \ μυστικό δίκτυο.
6. Κάντε κλικ στο κουμπί Εφαρμογή. Θα σας ζητηθεί να προσθέσετε κλειδιά κρυπτογράφησης για το φάκελο, πρέπει να κάνετε κλικ στο Ναι. Εάν απαντήσατε κατά λάθος Όχι, επιλέξτε ένα φάκελο στη λίστα και κάντε κλικ στο κουμπί Keys.
7. Θα εμφανιστεί ένας διάλογος για την επιλογή κλειδιών χρήστη. Επιλέξτε μόνο αυτούς που πρέπει να έχουν πρόσβαση στο φάκελο (εκείνοι που μπορούν να αποκρυπτογραφήσουν τα αρχεία). Κάντε κλικ στο OK.
8. Θα σας ζητηθεί να προσθέσετε ένα κλειδί διαχειριστή στο φάκελο. Ο διαχειριστής μπορεί να διαχειριστεί τη λίστα των κλειδιών χρήστη. Εάν η λίστα των χρηστών που έχουν πρόσβαση στο φάκελο παραμένει αμετάβλητη, δεν χρειάζεται να προσθέσετε το κλειδί διαχειριστή. Στη συνέχεια, θα πρέπει να επιλέξετε το διαχειριστή του φακέλου.
9. Όλα, ο φάκελος είναι κρυπτογραφημένος. Για να ξεκινήσετε να εργάζεστε με αυτό, επιλέξτε το και κάντε κλικ στο κουμπί Ενεργοποίηση. Μετά από αυτό, μπορείτε να ξεκινήσετε να εργάζεστε με το φάκελο.

Σπουδαίος! Κάθε φορά που χρειάζεστε έναν κρυπτογραφημένο φάκελο, πρέπει να τον ενεργοποιήσετε μέσω του κουμπιού Ενεργοποίηση. Εάν ο φάκελος δεν περιλαμβάνεται και προστίθενται αρχεία σε αυτόν, δεν θα κρυπτογραφούνται!

Αυτό είναι όλο. Αλλά θα ήθελα να επιστήσω την προσοχή σας για άλλη μια φορά στον διακομιστή. Ο διακομιστής μπορεί να είναι κανονικός υπολογιστήςεκτελεί Windows. Απλά μην ξεχνάτε τον αριθμό των χρηστών που εργάζονται ταυτόχρονα με το φάκελο δικτύου. Αυτός ο αριθμός περιορίζεται από τα ίδια τα Windows και αν υπάρχουν πολλοί χρήστες, πιθανότατα θα πρέπει να αγοράσετε Διακομιστής Windows... Και ένα ακόμη πράγμα: όπως ήδη αναφέρθηκε, δεν χρειάζεται να εγκαταστήσετε το πρόγραμμα στον διακομιστή, διαφορετικά η διαδικασία κρυπτογράφησης δεν θα προχωρήσει σωστά.

) επιτρέπει στις εταιρείες να οργανώνουν μια γρήγορη και βολική ανταλλαγή πληροφοριών σε διάφορες αποστάσεις. Ωστόσο, η προστασία των πληροφοριών στο εταιρικό περιβάλλον είναι ένα καθήκον που παραμένει σχετικό μέχρι σήμερα και ανησυχεί το μυαλό των διαχειριστών μικρών, μεσαίων και μεγάλων επιχειρήσεων σε ένα ευρύ φάσμα τομέων δραστηριότητας. Επιπλέον, ανεξάρτητα από το μέγεθος της εταιρείας, η διοίκηση πρέπει σχεδόν πάντα να διαφοροποιεί τα δικαιώματα πρόσβασης των εργαζομένων σε εμπιστευτικές πληροφορίες βάσει του βαθμού σπουδαιότητάς της.

Σε αυτό το άρθρο, θα μιλήσουμε για διαφανή κρυπτογράφησηως ένας από τους πιο συνηθισμένους τρόπους για την προστασία των πληροφοριών σε ένα εταιρικό περιβάλλον, σκεφτείτε γενικές αρχέςκρυπτογράφηση για πολλούς χρήστες (κρυπτογραφία με πολλά δημόσια κλειδιά) και θα σας δείξουμε επίσης πώς να ρυθμίσετε διαφανή κρυπτογράφηση φακέλων δικτύου χρησιμοποιώντας την Κρυπτογράφηση αρχείων CyberSafe.

Ποιο είναι το πλεονέκτημα της διαφανούς κρυπτογράφησης;

Η χρήση εικονικών κρυπτοδίσκων ή η λειτουργία κρυπτογράφησης πλήρους δίσκου δικαιολογείται πλήρως τοπικός υπολογιστήςο χρήστης, ωστόσο, σε έναν εταιρικό χώρο, είναι μια πιο κατάλληλη προσέγγιση διαφανή κρυπτογράφησηεπειδή αυτή η λειτουργία παρέχει γρήγορη και βολική εργασία με διαβαθμισμένα αρχεία για πολλούς χρήστες ταυτόχρονα. Κατά τη δημιουργία και την επεξεργασία αρχείων, οι διαδικασίες κρυπτογράφησης και αποκρυπτογράφησης πραγματοποιούνται αυτόματα, "εν κινήσει". Για να εργαστούν με προστατευμένα έγγραφα, οι υπάλληλοι της εταιρείας δεν χρειάζεται να έχουν δεξιότητες κρυπτογράφησης, δεν χρειάζεται να εκτελέσουν επιπλέον βήματα για να αποκρυπτογραφήσουν ή να κρυπτογραφήσουν μυστικά αρχεία.

Η εργασία με διαβαθμισμένα έγγραφα πραγματοποιείται ως συνήθως χρησιμοποιώντας το πρότυπο εφαρμογές συστήματος... Όλες οι λειτουργίες για τη ρύθμιση της κρυπτογράφησης και τη διαφοροποίηση των δικαιωμάτων πρόσβασης μπορούν να ανατεθούν σε ένα άτομο, για παράδειγμα, διαχειριστή συστήματος.

Πολλαπλή κρυπτογραφία δημόσιου κλειδιού και ψηφιακοί φάκελοι

Η διαφανής κρυπτογράφηση λειτουργεί ως εξής. Για την κρυπτογράφηση του αρχείου, χρησιμοποιείται ένα τυχαία δημιουργημένο συμμετρικό κλειδί περιόδου λειτουργίας, το οποίο με τη σειρά του προστατεύεται χρησιμοποιώντας το δημόσιο ασύμμετρο κλειδί του χρήστη. Εάν ο χρήστης αποκτήσει πρόσβαση στο αρχείο για να κάνει κάποιες αλλαγές σε αυτό, το πρόγραμμα διαφανής κρυπτογράφησης αποκρυπτογραφεί το συμμετρικό κλειδί χρησιμοποιώντας το ιδιωτικό (ιδιωτικό) κλειδί του χρήστη και στη συνέχεια, χρησιμοποιώντας το συμμετρικό κλειδί, αποκρυπτογραφεί το ίδιο το αρχείο. Συζητήσαμε λεπτομερώς πώς λειτουργεί η διαφανής κρυπτογράφηση στο προηγούμενο θέμα.

Τι γίνεται όμως αν υπάρχουν αρκετοί χρήστες και τα μυστικά αρχεία δεν αποθηκεύονται στον τοπικό υπολογιστή, αλλά σε έναν φάκελο απομακρυσμένος διακομιστής; Σε τελική ανάλυση, το κρυπτογραφημένο αρχείο είναι το ίδιο, αλλά κάθε χρήστης έχει το δικό του μοναδικό ζεύγος κλειδιών.

Σε αυτήν την περίπτωση, το λεγόμενο ψηφιακοί φάκελοι.

Όπως μπορείτε να δείτε από το σχήμα, ο ψηφιακός φάκελος περιέχει ένα αρχείο κρυπτογραφημένο χρησιμοποιώντας ένα τυχαία δημιουργημένο συμμετρικό κλειδί, καθώς και πολλά αντίγραφα αυτού του συμμετρικού κλειδιού, που προστατεύονται χρησιμοποιώντας τα ασύμμετρα δημόσια κλειδιά κάθε χρήστη. Θα υπάρχουν όσα αντίγραφα επιτρέπεται σε πολλούς χρήστες να έχουν πρόσβαση στον προστατευμένο φάκελο.

Το διαφανές πρόγραμμα οδήγησης κρυπτογράφησης λειτουργεί σύμφωνα με το ακόλουθο σχήμα: όταν ένας χρήστης αποκτά πρόσβαση σε ένα αρχείο, ελέγχει εάν υπάρχει πιστοποιητικό ( δημόσιο κλειδί) στη λίστα επιτρεπόμενων. Εάν ναι, το αντίγραφο του συμμετρικού κλειδιού που κρυπτογραφήθηκε χρησιμοποιώντας το δημόσιο κλειδί του χρήστη αποκρυπτογραφείται χρησιμοποιώντας το ιδιωτικό κλειδί του χρήστη. Εάν η λίστα του πιστοποιητικού δεδομένος χρήστηςόχι, η πρόσβαση δεν θα επιτρέπεται.

Κρυπτογράφηση φακέλων δικτύου με το CyberSafe

Χρησιμοποιώντας το CyberSafe, Διαχειριστής συστήματοςθα είναι σε θέση να διαμορφώσει διαφανή κρυπτογράφηση ενός φακέλου δικτύου χωρίς να χρησιμοποιεί πρόσθετα πρωτόκολλα προστασίας δεδομένων, όπως IPSec ή WebDAV, και στη συνέχεια να ελέγχει την πρόσβαση των χρηστών σε έναν συγκεκριμένο κρυπτογραφημένο φάκελο.

Για να ρυθμίσετε διαφανή κρυπτογράφηση, καθένας από τους χρήστες που σκοπεύουν να επιτρέψουν την πρόσβαση σε εμπιστευτικές πληροφορίες πρέπει να έχει εγκαταστήσει τον υπολογιστή CyberSafe στον υπολογιστή, πρέπει να δημιουργηθεί ένα προσωπικό πιστοποιητικό και το δημόσιο κλειδί πρέπει να δημοσιεύεται στον διακομιστή δημόσιου κλειδιού CyberSafe.

Στη συνέχεια, δημιουργεί ο διαχειριστής συστήματος στον απομακρυσμένο διακομιστή νέος φάκελος, το προσθέτει στο CyberSafe και εκχωρεί κλειδιά σε εκείνους τους χρήστες που θα μπορούν να συνεργάζονται με αρχεία σε αυτόν τον φάκελο στο μέλλον. Φυσικά, μπορείτε να δημιουργήσετε όσους φακέλους απαιτείται, να αποθηκεύσετε εμπιστευτικές πληροφορίες διαφορετικού βαθμού σπουδαιότητας σε αυτούς και ο διαχειριστής συστήματος ανά πάσα στιγμή μπορεί να αφαιρέσει έναν χρήστη από τη λίστα εκείνων που έχουν πρόσβαση στο φάκελο ή να προσθέσετε έναν νέο ένας.

Ας δούμε ένα απλό παράδειγμα:

Στο διακομιστής αρχείωνΗ ABC Enterprise αποθηκεύει 3 βάσεις δεδομένων με εμπιστευτικές πληροφορίες διαφορετικού βαθμού σπουδαιότητας - DSP, Secret και Top Secret. Απαιτείται η παροχή πρόσβασης: στο DB1 των χρηστών Ivanov, Petrov, Nikiforov, DB2 του Petrov και Smirnov, στο DB3 των Smirnov και Ivanov.

Για να το κάνετε αυτό, στον διακομιστή αρχείων, ο οποίος μπορεί να είναι οποιοσδήποτε πόρος δικτύου, θα πρέπει να δημιουργήσετε τρεις ξεχωριστοί φάκελοιγια κάθε βάση δεδομένων και εκχώρηση πιστοποιητικών (κλειδιά) των αντίστοιχων χρηστών σε αυτούς τους φακέλους:

Φυσικά, αυτό ή άλλο παρόμοιο πρόβλημα με τη διαφοροποίηση των δικαιωμάτων πρόσβασης μπορεί να λυθεί χρησιμοποιώντας τα Windows ACL. Αλλά αυτή η μέθοδος μπορεί να είναι αποτελεσματική μόνο όταν διαφοροποιούνται τα δικαιώματα πρόσβασης στους υπολογιστές των εργαζομένων εντός της εταιρείας. Από μόνη της, δεν παρέχει προστασία εμπιστευτικών πληροφοριών σε περίπτωση σύνδεσης τρίτων με διακομιστή αρχείων και η χρήση κρυπτογραφίας για την προστασία δεδομένων είναι απλώς απαραίτητη.

Επιπλέον, μπορείτε να επαναφέρετε όλες τις ρυθμίσεις ασφαλείας του συστήματος αρχείων χρησιμοποιώντας τη γραμμή εντολών. Στα Windows, υπάρχει ένα ειδικό εργαλείο για αυτό - "calcs", το οποίο μπορεί να χρησιμοποιηθεί για την προβολή των δικαιωμάτων σε αρχεία και φακέλους, καθώς και για την επαναφορά τους. Στα Windows 7, αυτή η εντολή ονομάζεται "icacls" και εκτελείται ως εξής:

1. Στο γραμμή εντολώνμε δικαιώματα διαχειριστή, πληκτρολογήστε: cmd
2. Μεταβείτε στο δίσκο ή στο διαμέρισμα, για παράδειγμα: CD / D D:
3. Για να επαναφέρετε όλα τα δικαιώματα, εισαγάγετε: icacls * / T / Q / C / RESET

Είναι πιθανό ότι τα icacls δεν θα λειτουργήσουν την πρώτη φορά. Στη συνέχεια, πριν από το βήμα 2, πρέπει να εκτελέσετε την ακόλουθη εντολή:

Μετά από αυτό, θα γίνει επαναφορά των προηγούμενων δικαιωμάτων σε αρχεία και φακέλους.

Μπορείτε να δημιουργήσετε ένα σύστημα με βάση εικονικό cryptodisk και ACL(γράφονται περισσότερες λεπτομέρειες σχετικά με ένα τέτοιο σύστημα κατά τη χρήση κρυπτοδίσκων σε οργανισμούς.). Ωστόσο, ένα τέτοιο σύστημα είναι επίσης ευάλωτο, καθώς για να διασφαλιστεί η συνεχής πρόσβαση των υπαλλήλων σε δεδομένα στον κρυπτογράφο, ο διαχειριστής θα πρέπει να το διατηρήσει συνδεδεμένο (τοποθετημένο) καθ 'όλη τη διάρκεια της εργάσιμης ημέρας, γεγονός που θέτει σε κίνδυνο εμπιστευτικές πληροφορίες σχετικά με τον κρυπτογράφο ακόμη και χωρίς να το γνωρίζει ο κωδικός πρόσβασης σε αυτόν, εάν ένας εισβολέας είναι συνδεδεμένος κατά τη διάρκεια της σύνδεσης. θα μπορεί να συνδεθεί στον διακομιστή.

Οι μονάδες δικτύου με ενσωματωμένη κρυπτογράφηση επίσης δεν επιλύουν το πρόβλημα, καθώς παρέχουν προστασία δεδομένων μόνο όταν κανείς δεν εργάζεται μαζί τους. Δηλαδή, η ενσωματωμένη λειτουργία κρυπτογράφησης θα είναι σε θέση να προστατεύει τα εμπιστευτικά δεδομένα από συμβιβασμούς μόνο εάν ο ίδιος ο δίσκος κλαπεί.

02/04/2016, Πέμ, 11:49, ώρα Μόσχας, Κείμενο: Pavel Pritula

Τα διαφανή συστήματα κρυπτογράφησης δίσκων είναι ένα υψηλής έντασης επιστημονικό προϊόν, η ανάπτυξη και η υποστήριξη του οποίου εμπίπτει στην εξουσία ενός πολύ περιορισμένου αριθμού εταιρειών. Αλλά η κύρια λειτουργία τους - για τη μείωση του κινδύνου εμπιστευτικής διαρροής πληροφοριών - αποδίδουν καλά.

Όπως σημειώνεται στην ενότητα Πώς να διαχειριστείτε τον κίνδυνο διαρροής κρίσιμων δεδομένων, οι επιχειρήσεις πρέπει να μειώνουν συνεχώς τον κίνδυνο διαρροής εμπιστευτικών πληροφοριών. Ο απλούστερος και σχετικά φθηνός τρόπος είναι να χρησιμοποιήσετε διαφανή συστήματα κρυπτογράφησης. Το κύριο πλεονέκτημα της διαφανούς κρυπτογράφησης είναι ότι ο χρήστης δεν απαιτείται να συμμετέχει στις διαδικασίες, όλα συμβαίνουν στο παρασκήνιο εν κινήσει.

Πολλά εξαρτώνται από τη διατύπωση των απαιτήσεων του συστήματος.

Με την πρώτη ματιά, τα διαφανή συστήματα κρυπτογράφησης στην αγορά έχουν πολλά κοινά: τελικά, όλα επιλύουν το ίδιο πρόβλημα. Αλλά η επιχείρηση έχει πάντα τις δικές της συγκεκριμένες απαιτήσεις. Ακολουθεί μια λίστα με τα πιο σχετικά.

Απαιτήσεις για διαφανή συστήματα κρυπτογράφησης

№	Περιγραφή των απαιτήσεων
1	Δύναμη κρυπτογράφησης	Η ισχύς της προστασίας πρέπει να είναι τέτοια ώστε να μην παραβιάζεται το απόρρητο ακόμη και στην περίπτωση που ο εισβολέας γνωρίζει τη μέθοδο κρυπτογράφησης.
2	Αξιοπιστία αλγορίθμων κρυπτογράφησης	Ο αλγόριθμος κρυπτογράφησης που χρησιμοποιείται δεν πρέπει να έχει αδυναμίες που θα μπορούσαν να αξιοποιηθούν από cryptanalysts
3	Ασφαλής χρήση κλειδιών	Το κλειδί κρυπτογράφησης δεν πρέπει να είναι προσβάσιμο από έναν εισβολέα. Η μη συμμόρφωση με τις αρχές της ασφαλούς χρήσης κλειδιών κρυπτογράφησης μπορεί να θέσει σε κίνδυνο την ασφάλεια των πληροφοριών, παρόλο που το σύστημα θα εφαρμόσει τους πιο κρυπτογραφικά ισχυρούς αλγόριθμους.
4	"Διαφάνεια" κρυπτογράφησης	Η κρυπτογράφηση θα πρέπει να είναι όσο το δυνατόν πιο «διαφανής» για τον χρήστη - δεν αντιλαμβάνεται τη διαδικασία κρυπτογράφησης και αποκρυπτογράφησης δεδομένων κατά τη λειτουργία
5	Ανθεκτικότητα σε σφάλματα	Το σύστημα πρέπει να είναι όσο το δυνατόν πιο ανθεκτικό σε τυχαία λάθη και εσφαλμένες ενέργειες των χρηστών
6	Έλεγχος ταυτότητας πολλών παραγόντων	Η επαλήθευση των δικαιωμάτων χρήστη για πρόσβαση σε προστατευμένα δεδομένα θα πρέπει να πραγματοποιείται με βάση έλεγχος ταυτότητας πολλαπλών παραγόντων
7	Πρόσθετη λειτουργικότητα για εργασία καταστάσεις έκτακτης ανάγκης	Σε καταστάσεις έκτακτης ανάγκης, όταν γίνεται γνωστό για μια απόπειρα φυσικής πρόσβασης ή απόπειρα κατάσχεσης εξοπλισμού διακομιστή, η πιθανότητα έκτακτης διακοπής της πρόσβασης σε δεδομένα γίνεται ένα εξαιρετικά χρήσιμο εργαλείο προστασίας.
8	Εσωτερική προστασία	Όλοι οι χρήστες του συστήματος, συμπεριλαμβανομένων των διαχειριστών συστήματος και του τεχνικού προσωπικού, πρέπει να έχουν πρόσβαση στο φυσικό σύστημα αρχείων αποκλειστικά στο πλαίσιο των εξουσιών τους που ορίζονται στις πολιτικές ασφάλειας πληροφοριών της εταιρείας.

Τα δύο πρώτα σημεία σχετικά με την αξιοπιστία και την ισχύ των αλγορίθμων κρυπτογράφησης απαιτούν από τους παρόχους κρυπτογραφικών υπηρεσιών να συμμορφώνονται με τις κανονιστικές απαιτήσεις. Στη Ρωσική Ομοσπονδία, αυτή είναι η χρήση του GOST 28147-89 με βασικό μήκος 256 bit σε λύσεις από παρόχους κρυπτογράφησης με άδεια από το FSB της Ρωσίας.

Πώς να προστατευτείτε από τον διαχειριστή του συστήματος;

Οι εισβολείς που ενδιαφέρονται για ιδιωτικά δεδομένα μπορούν επίσης να βρίσκονται εντός της εταιρείας. Μια σοβαρή απειλή από την οποία δεν μπορεί να αποθηκευτεί η κρυπτογραφία τεχνικοί ειδικοίκαι διαχειριστές συστημάτων εταιρείας. Αλλά με όλα αυτά, οφείλουν, λόγω των δέοντων καθηκόντων τους, να παρακολουθούν την απόδοση των συστημάτων που διασφαλίζουν την ασφάλεια σε κάθε υπολογιστή.

Στην τρέχουσα δύσκολη οικονομική κατάσταση, ορισμένοι υπάλληλοι, συμπεριλαμβανομένων των διαχειριστών συστήματος, έχουν την επιθυμία να αντιγράψουν εταιρικές πληροφορίες για να τις πουλήσουν στη μαύρη αγορά ή ως πρόσθετο πλεονέκτημα έναντι των ανταγωνιστικών αιτούντων κατά τη χρήση νέα δουλειά... Αυτό επιδεινώνει τη σχέση μεταξύ διοίκησης και προσωπικού σε εταιρείες.

Αυτό σημαίνει ότι το επιλεγμένο διαφανές σύστημα κρυπτογράφησης πρέπει απλώς να διαθέτει μηχανισμούς που εφαρμόζουν ένα σύνολο απαιτήσεων προστασίας από τον διαχειριστή του συστήματος, ο οποίος βρήκε τη θέση του στη λίστα απαιτήσεων για τη λύση.

Το εικονικό σύστημα αρχείων είναι ένα σημαντικό στοιχείο ασφαλείας

Ποιος είναι λοιπόν ο υποκείμενος μηχανισμός πίσω από τα καλύτερα διαφανή συστήματα κρυπτογράφησης στην κατηγορία για να ικανοποιήσει τις πολλές απαιτήσεις που περιγράφονται παραπάνω; Στην πράξη, εκφράζεται με έναν απλό τύπο: το αρχείο για τον κάτοχο των πληροφοριών είναι διαθέσιμο σε αποκρυπτογραφημένη μορφή και για όλους τους άλλους - μόνο σε κρυπτογραφημένη μορφή χωρίς πρόσβαση στα κλειδιά. Οι ειδικοί αποκαλούν αυτή τη λειτουργία "ταυτόχρονη πρόσβαση".

«Αν όμως τα Windows είναι εγκατεστημένα στον υπολογιστή του χρήστη, ο οποίος πρακτικά έχει γίνει εταιρικό πρότυπο στη Ρωσική Ομοσπονδία, τότε η επίτευξη« ταυτόχρονης πρόσβασης »δεν είναι εύκολη υπόθεση. Αυτό οφείλεται στην επίδραση της συνοχής στα Windows: ένα αρχείο σε αυτό μπορεί να έχει αντίγραφα του, εκτός από το σύστημα αρχείων, στη διαχείριση μνήμης ή στην προσωρινή μνήμη. Επομένως, πρέπει να λύσουμε το πρόβλημα της «ταυτόχρονης ύπαρξης» αρχείων », λέει Ilya Shavinsky, Διευθυντής Ανάπτυξης Επιχειρήσεων, Aladdin R.D. Και το πρόβλημα επιλύεται με έναν πρωτότυπο τρόπο με τη βοήθεια της κοινής εργασίας του "εικονικού συστήματος αρχείων" (VFS) και του φίλτρου του προγράμματος οδήγησης συστήματος αρχείων, το σχήμα του οποίου δίνεται παρακάτω.

Εικονικό σύστημα αρχείων

Πηγή: "Aladdin R.D.", 2016

Όπως μπορείτε να δείτε από το διάγραμμα, ο διαχειριστής προσωρινής μνήμης "σκέφτεται" ότι συνεργάζεται με δύο διαφορετικά αρχεία... Γι 'αυτό, το VFS σχηματίζει μια πρόσθετη αντιστοιχισμένη δομή περιγραφικών αρχείων. Παρέχει ένα ειδικό πρόγραμμα οδήγησης συστήματος αρχείων συνεχής ανανέωσηένα κρυπτογραφημένο αρχείο στο πραγματικό σύστημα αρχείων, μετά την τροποποίηση του μη κρυπτογραφημένου αντιγράφου του στο VFS. Έτσι, τα δεδομένα στο δίσκο είναι πάντα κρυπτογραφημένα.

Για να περιορίσετε την πρόσβαση σε αρχεία, φορτώνεται το πρόγραμμα οδήγησης συστήματος αρχείων ΕΜΒΟΛΟκλειδιά κρυπτογράφησης. Οι ίδιες πληροφορίες κλειδιού προστατεύονται από ένα ζεύγος κλειδιών του πιστοποιητικού χρήστη και αποθηκεύονται σε χώρο αποθήκευσης κρυπτογράφησης.

Ως αποτέλεσμα, ο εξουσιοδοτημένος χρήστης βλέπει ένα σύστημα αρχείων, εικονικό με αποκρυπτογραφημένα αρχεία, και μη εξουσιοδοτημένοι χρήστες ταυτόχρονα θα βλέπουν το φυσικό (πραγματικό) σύστημα αρχείων, όπου τα ονόματα και τα περιεχόμενα των αρχείων είναι κρυπτογραφημένα.

Οι διαχειριστές συστήματος και άλλοι τεχνικοί που δεν μπορούν να λάβουν αποκρυπτογραφημένα κλειδιά κρυπτογράφησης θα λειτουργήσουν με πραγματικά κρυπτογραφημένα με ασφάλεια σύστημα αρχείων... Ταυτόχρονα, εξακολουθούν να έχουν την ευκαιρία να εκτελέσουν σωστά τα επίσημα καθήκοντά τους, για παράδειγμα, να δημιουργήσουν αντίγραφα ασφαλείαςκρυπτογραφημένες πληροφορίες χωρίς να παραβιάζεται η εμπιστευτικότητα των ίδιων των πληροφοριών. Αυτό πληροί μια σημαντική απαίτηση για προστασία των πληροφοριών από εμπιστευτικούς.

Οι κίνδυνοι δεν μπορούν να μειωθούν χωρίς έλεγχο ταυτότητας πολλών παραγόντων

Για λήψη ταυτότητας χρήστη πολλαπλών παραγόντων για λήψη λειτουργικό σύστημακαι για πρόσβαση σε κρυπτογραφημένα δεδομένα, χρησιμοποιείται συνήθως ένα διακριτικό ή μια έξυπνη κάρτα - μια συσκευή που αποθηκεύει το πιστοποιητικό δημόσιου κλειδιού του χρήστη και το αντίστοιχο ιδιωτικό κλειδί.

Ένα κεντρικό σύστημα διαχείρισης και αποθήκευσης κλειδιών κρυπτογράφησης προστατεύει από την απώλεια αυτών των κλειδιών - βρίσκονται σε έναν ασφαλή διακομιστή και μεταδίδονται στον χρήστη μόνο όπως απαιτείται. Η εταιρεία ελέγχει επίσης την πρόσβαση των εργαζομένων στα δεδομένα τους και μπορεί να την αρνηθεί ανά πάσα στιγμή. Επιπλέον, είναι δυνατή η παρακολούθηση συμβάντων πρόσβασης σε προστατευμένα δεδομένα, καθώς και η δυνατότητα κρυπτογράφησης όλων των δεδομένων που αποστέλλονται σε μονάδες flash κ.λπ.

Σύνθεση ενός τυπικού διαφανούς συστήματος κρυπτογράφησης

) επιτρέπει στις εταιρείες να οργανώνουν μια γρήγορη και βολική ανταλλαγή πληροφοριών σε διάφορες αποστάσεις. Ωστόσο, η προστασία των πληροφοριών στο εταιρικό περιβάλλον είναι ένα καθήκον που παραμένει σχετικό μέχρι σήμερα και ανησυχεί το μυαλό των διαχειριστών μικρών, μεσαίων και μεγάλων επιχειρήσεων σε ένα ευρύ φάσμα τομέων δραστηριότητας. Επιπλέον, ανεξάρτητα από το μέγεθος της εταιρείας, η διοίκηση πρέπει σχεδόν πάντα να διαφοροποιεί τα δικαιώματα πρόσβασης των εργαζομένων σε εμπιστευτικές πληροφορίες βάσει του βαθμού σπουδαιότητάς της.

Σε αυτό το άρθρο, θα μιλήσουμε για διαφανή κρυπτογράφησηως ένας από τους πιο συνηθισμένους τρόπους για την προστασία των πληροφοριών σε ένα εταιρικό περιβάλλον, θα λάβουμε υπόψη τις γενικές αρχές κρυπτογράφησης για πολλούς χρήστες (κρυπτογράφηση με πολλά δημόσια κλειδιά) και επίσης μιλάμε για το πώς να διαμορφώσετε διαφανή κρυπτογράφηση φακέλων δικτύου χρησιμοποιώντας το πρόγραμμα.

Ποιο είναι το πλεονέκτημα της διαφανούς κρυπτογράφησης;

Η χρήση εικονικών κρυπτοδίσκων ή η λειτουργία κρυπτογράφησης πλήρους δίσκου είναι αρκετά δικαιολογημένη στον τοπικό υπολογιστή του χρήστη, ωστόσο, σε έναν εταιρικό χώρο, μια πιο κατάλληλη προσέγγιση είναι η χρήση διαφανή κρυπτογράφησηεπειδή αυτή η λειτουργία παρέχει γρήγορη και βολική εργασία με διαβαθμισμένα αρχεία για πολλούς χρήστες ταυτόχρονα. Κατά τη δημιουργία και την επεξεργασία αρχείων, οι διαδικασίες κρυπτογράφησης και αποκρυπτογράφησης πραγματοποιούνται αυτόματα, «εν κινήσει». Για να εργαστούν με προστατευμένα έγγραφα, οι υπάλληλοι της εταιρείας δεν χρειάζεται να έχουν δεξιότητες κρυπτογραφίας, δεν χρειάζεται να εκτελέσουν πρόσθετα βήματα για να αποκρυπτογραφήσουν ή να κρυπτογραφήσουν μυστικά αρχεία.

Η εργασία με διαβαθμισμένα έγγραφα πραγματοποιείται ως συνήθως χρησιμοποιώντας τυπικές εφαρμογές συστήματος. Όλες οι λειτουργίες για τη ρύθμιση της κρυπτογράφησης και τη διαφοροποίηση των δικαιωμάτων πρόσβασης μπορούν να ανατεθούν σε ένα άτομο, για παράδειγμα, διαχειριστή συστήματος.

Πολλαπλή κρυπτογραφία δημόσιου κλειδιού και ψηφιακοί φάκελοι

Η διαφανής κρυπτογράφηση λειτουργεί ως εξής. Για την κρυπτογράφηση του αρχείου, χρησιμοποιείται ένα τυχαία δημιουργημένο συμμετρικό κλειδί περιόδου λειτουργίας, το οποίο με τη σειρά του προστατεύεται χρησιμοποιώντας το δημόσιο ασύμμετρο κλειδί του χρήστη. Εάν ο χρήστης αποκτήσει πρόσβαση στο αρχείο για να κάνει κάποιες αλλαγές σε αυτό, το πρόγραμμα διαφανής κρυπτογράφησης αποκρυπτογραφεί το συμμετρικό κλειδί χρησιμοποιώντας το ιδιωτικό (ιδιωτικό) κλειδί του χρήστη και στη συνέχεια, χρησιμοποιώντας το συμμετρικό κλειδί, αποκρυπτογραφεί το ίδιο το αρχείο. Συζητήσαμε λεπτομερώς πώς λειτουργεί η διαφανής κρυπτογράφηση.

Τι γίνεται όμως αν υπάρχουν αρκετοί χρήστες και τα ταξινομημένα αρχεία δεν αποθηκεύονται στον τοπικό υπολογιστή, αλλά σε ένα φάκελο σε έναν απομακρυσμένο διακομιστή; Σε τελική ανάλυση, το κρυπτογραφημένο αρχείο είναι το ίδιο, αλλά κάθε χρήστης έχει το δικό του μοναδικό ζεύγος κλειδιών.

Σε αυτήν την περίπτωση, το λεγόμενο ψηφιακοί φάκελοι.

Όπως μπορείτε να δείτε από το σχήμα, ο ψηφιακός φάκελος περιέχει ένα αρχείο κρυπτογραφημένο χρησιμοποιώντας ένα τυχαία δημιουργημένο συμμετρικό κλειδί, καθώς και πολλά αντίγραφα αυτού του συμμετρικού κλειδιού, που προστατεύονται χρησιμοποιώντας τα ασύμμετρα δημόσια κλειδιά κάθε χρήστη. Θα υπάρχουν όσα αντίγραφα επιτρέπεται σε πολλούς χρήστες να έχουν πρόσβαση στον προστατευμένο φάκελο.

Το διαφανές πρόγραμμα οδήγησης κρυπτογράφησης λειτουργεί σύμφωνα με το ακόλουθο σχήμα: όταν ένας χρήστης αποκτά πρόσβαση σε ένα αρχείο, ελέγχει εάν το πιστοποιητικό του (δημόσιο κλειδί) βρίσκεται στη λίστα των επιτρεπόμενων. Εάν ναι, το αντίγραφο του συμμετρικού κλειδιού που κρυπτογραφήθηκε χρησιμοποιώντας το δημόσιο κλειδί του χρήστη αποκρυπτογραφείται χρησιμοποιώντας το ιδιωτικό κλειδί του χρήστη. Εάν το πιστοποιητικό χρήστη δεν περιλαμβάνεται στη λίστα, η πρόσβαση δεν θα επιτρέπεται.

Κρυπτογράφηση φακέλων δικτύου με το CyberSafe

Χρησιμοποιώντας το CyberSafe, ο διαχειριστής του συστήματος θα μπορεί να διαμορφώσει διαφανή κρυπτογράφηση ενός φακέλου δικτύου χωρίς να χρησιμοποιεί πρόσθετα πρωτόκολλα προστασίας δεδομένων, όπως ή να ελέγχει περαιτέρω την πρόσβαση των χρηστών σε έναν συγκεκριμένο κρυπτογραφημένο φάκελο.

Για να ρυθμίσετε διαφανή κρυπτογράφηση, καθένας από τους χρήστες που σκοπεύουν να επιτρέψουν την πρόσβαση σε εμπιστευτικές πληροφορίες πρέπει να έχει εγκαταστήσει τον υπολογιστή CyberSafe στον υπολογιστή, πρέπει να δημιουργηθεί ένα προσωπικό πιστοποιητικό και το δημόσιο κλειδί πρέπει να δημοσιεύεται στον διακομιστή δημόσιου κλειδιού CyberSafe.

Στη συνέχεια, ο διαχειριστής συστήματος στον απομακρυσμένο διακομιστή δημιουργεί έναν νέο φάκελο, τον προσθέτει στο CyberSafe και εκχωρεί κλειδιά σε αυτούς τους χρήστες που θα μπορούν να συνεργάζονται με αρχεία σε αυτόν τον φάκελο στο μέλλον. Φυσικά, μπορείτε να δημιουργήσετε όσους φακέλους απαιτείται, να αποθηκεύσετε εμπιστευτικές πληροφορίες διαφορετικού βαθμού σπουδαιότητας σε αυτούς και ο διαχειριστής συστήματος ανά πάσα στιγμή μπορεί να αφαιρέσει έναν χρήστη από τη λίστα εκείνων που έχουν πρόσβαση στο φάκελο ή να προσθέσετε έναν νέο ένας.

Ας δούμε ένα απλό παράδειγμα:

Ο διακομιστής αρχείων της εταιρείας ABC αποθηκεύει 3 βάσεις δεδομένων με εμπιστευτικές πληροφορίες διαφορετικών βαθμών σπουδαιότητας - DSP, Secret και Top Secret. Απαιτείται η παροχή πρόσβασης: στο DB1 των χρηστών Ivanov, Petrov, Nikiforov, DB2 του Petrov και Smirnov, στο DB3 των Smirnov και Ivanov.

Για να το κάνετε αυτό, στον διακομιστή αρχείων, ο οποίος μπορεί να είναι οποιοσδήποτε πόρος δικτύου, θα πρέπει να δημιουργήσετε τρεις ξεχωριστούς φακέλους για κάθε βάση δεδομένων και να εκχωρήσετε πιστοποιητικά (κλειδιά) των αντίστοιχων χρηστών σε αυτούς τους φακέλους:

Φυσικά, αυτό ή άλλο παρόμοιο πρόβλημα με τη διαφοροποίηση των δικαιωμάτων πρόσβασης μπορεί να λυθεί με Βοήθεια των Windows... Αλλά αυτή η μέθοδος μπορεί να είναι αποτελεσματική μόνο όταν διαφοροποιούνται τα δικαιώματα πρόσβασης στους υπολογιστές των εργαζομένων εντός της εταιρείας. Από μόνη της, δεν παρέχει προστασία εμπιστευτικών πληροφοριών σε περίπτωση σύνδεσης τρίτων με διακομιστή αρχείων και η χρήση κρυπτογραφίας για την προστασία δεδομένων είναι απλώς απαραίτητη.

Επιπλέον, μπορείτε να επαναφέρετε όλες τις ρυθμίσεις ασφαλείας του συστήματος αρχείων χρησιμοποιώντας τη γραμμή εντολών. Στα Windows, υπάρχει ένα ειδικό εργαλείο για αυτό - "calcs", το οποίο μπορεί να χρησιμοποιηθεί για την προβολή των δικαιωμάτων σε αρχεία και φακέλους, καθώς και για την επαναφορά τους. Στα Windows 7, αυτή η εντολή ονομάζεται "icacls" και εκτελείται ως εξής:

1. Στη γραμμή εντολών με δικαιώματα διαχειριστή, πληκτρολογήστε: cmd
2. Μεταβείτε στο δίσκο ή στο διαμέρισμα, για παράδειγμα: CD / D D:
3. Για να επαναφέρετε όλα τα δικαιώματα, εισαγάγετε: icacls * / T / Q / C / RESET

Είναι πιθανό ότι τα icacls δεν θα λειτουργήσουν την πρώτη φορά. Στη συνέχεια, πριν από το βήμα 2, πρέπει να εκτελέσετε την ακόλουθη εντολή:

Μετά από αυτό, θα γίνει επαναφορά των προηγούμενων δικαιωμάτων σε αρχεία και φακέλους.

Μπορείτε να δημιουργήσετε ένα σύστημα με βάση εικονικό cryptodisk και ACL(γράφονται περισσότερες λεπτομέρειες σχετικά με ένα τέτοιο σύστημα κατά τη χρήση κρυπτοδίσκων σε οργανισμούς.). Ωστόσο, ένα τέτοιο σύστημα είναι επίσης ευάλωτο, καθώς για να διασφαλιστεί η συνεχής πρόσβαση των υπαλλήλων σε δεδομένα στον κρυπτογράφο, ο διαχειριστής θα πρέπει να το διατηρήσει συνδεδεμένο (τοποθετημένο) καθ 'όλη τη διάρκεια της εργάσιμης ημέρας, γεγονός που θέτει σε κίνδυνο εμπιστευτικές πληροφορίες σχετικά με τον κρυπτογράφο ακόμη και χωρίς να το γνωρίζει ο κωδικός πρόσβασης σε αυτόν, εάν ένας εισβολέας είναι συνδεδεμένος κατά τη διάρκεια της σύνδεσης. θα μπορεί να συνδεθεί στον διακομιστή.

Οι μονάδες δικτύου με ενσωματωμένη κρυπτογράφηση επίσης δεν επιλύουν το πρόβλημα, καθώς παρέχουν προστασία δεδομένων μόνο όταν κανείς δεν εργάζεται μαζί τους. Δηλαδή, η ενσωματωμένη λειτουργία κρυπτογράφησης θα είναι σε θέση να προστατεύει τα εμπιστευτικά δεδομένα από συμβιβασμούς μόνο εάν ο ίδιος ο δίσκος κλαπεί.

Η κρυπτογράφηση / αποκρυπτογράφηση αρχείων δεν πραγματοποιείται στον διακομιστή αρχείων, αλλά από την πλευρά του χρήστη... Επομένως, τα εμπιστευτικά αρχεία αποθηκεύονται στον διακομιστή μόνο σε κρυπτογραφημένη μορφή, κάτι που αποκλείει την πιθανότητα συμβιβασμού τους όταν απευθείας σύνδεσηεισβολέας στον διακομιστή αρχείων. Όλα τα αρχεία στο διακομιστή, αποθηκευμένα σε φάκελο που προστατεύεται με διαφανή κρυπτογράφηση, είναι κρυπτογραφημένα και προστατεύονται με ασφάλεια. Ταυτόχρονα, οι χρήστες και οι εφαρμογές τους βλέπουν ως συνηθισμένα αρχεία: Σημειωματάριο, Word, Excel, HTML κ.λπ. Οι εφαρμογές μπορούν να διαβάζουν και να γράφουν αυτά τα αρχεία απευθείας. το γεγονός ότι είναι κρυπτογραφημένα είναι διαφανές για αυτούς.

Οι χρήστες χωρίς πρόσβαση μπορούν επίσης να δουν αυτά τα αρχεία, αλλά δεν μπορούν να τα διαβάσουν ή να τα τροποποιήσουν. Αυτό σημαίνει ότι εάν ο διαχειριστής του συστήματος δεν έχει πρόσβαση σε έγγραφα σε κανέναν από τους φακέλους, μπορεί να τα εκτελέσει. αντιγράφων ασφαλείας... Φυσικά, όλα τα αντίγραφα ασφαλείας αρχείων είναι επίσης κρυπτογραφημένα.

Ωστόσο, όταν ένας χρήστης ανοίγει οποιοδήποτε από τα αρχεία για να εργαστεί στον υπολογιστή του, υπάρχει πιθανότητα οι ανεπιθύμητες εφαρμογές να αποκτήσουν πρόσβαση σε αυτόν (σε περίπτωση που, φυσικά, ο υπολογιστής έχει μολυνθεί). Για να το αποτρέψετε στο CyberSafe ως πρόσθετο μέτρουπάρχει ασφάλεια, χάρη στην οποία ο διαχειριστής του συστήματος μπορεί να ορίσει μια λίστα προγραμμάτων που θα μπορούν να έχουν πρόσβαση σε αρχεία από έναν προστατευμένο φάκελο. Όλες οι άλλες εφαρμογές που δεν περιλαμβάνονται στη λίστα αξιόπιστων δεν θα έχουν πρόσβαση. Με αυτόν τον τρόπο θα περιορίσουμε την πρόσβαση σε εμπιστευτικές πληροφορίες για spyware, rootkits και άλλο κακόβουλο λογισμικό.

Δεδομένου ότι όλες οι εργασίες με κρυπτογραφημένα αρχεία εκτελούνται από την πλευρά του χρήστη, αυτό σημαίνει ότι το CyberSafe δεν είναι εγκατεστημένο σε διακομιστή αρχείων και όταν εργάζεται σε εταιρικό χώρο, το πρόγραμμα μπορεί να χρησιμοποιηθεί για την προστασία πληροφοριών για αποθήκευση δικτύου με αρχείο Σύστημα NTFS, όπως . Όλες οι εμπιστευτικές πληροφορίες είναι κρυπτογραφημένες σε έναν τέτοιο χώρο αποθήκευσης και το CyberSafe εγκαθίσταται μόνο σε υπολογιστές χρηστών από τους οποίους έχουν πρόσβαση σε κρυπτογραφημένα αρχεία.

Αυτό είναι το πλεονέκτημα του CyberSafe έναντι του TrueCrypt και άλλων προγραμμάτων κρυπτογράφησης που απαιτούν εγκατάσταση στη θέση της φυσικής αποθήκευσης αρχείων, πράγμα που σημαίνει ότι μπορούν να χρησιμοποιήσουν μόνο Προσωπικός υπολογιστής, αλλά όχι μονάδα δικτύου... Αναμφίβολα, η χρήση αποθηκών δικτύου σε εταιρείες και οργανισμούς είναι πολύ πιο βολική και δικαιολογημένη από τη χρήση κανονικού υπολογιστή.

Έτσι, με τη βοήθεια του CyberSafe, χωρίς πρόσθετα χρήματα, μπορείτε να οργανώσετε αποτελεσματική προστασία πολύτιμων αρχείων, να παρέχετε βολική εργασία με κρυπτογραφημένα φακέλους δικτύου, καθώς και για τη διαφοροποίηση των δικαιωμάτων πρόσβασης των χρηστών σε εμπιστευτικές πληροφορίες.